CN116415303A - 授权令牌处理方法及系统 - Google Patents

Abstract

本发明涉及无线通信技术领域，提供一种授权令牌处理方法及系统，该方法包括：网关接收资源获取请求；其中，资源获取请求包括请求方应用标识；网关确定自身存储有与请求方应用标识对应的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。根据本发明实施例的授权令牌处理方法，通过增设API网关进行令牌存储及使用，完成令牌管理流程，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果。

Description

授权令牌处理方法及系统

技术领域

本发明涉及无线通信技术领域，尤其涉及授权令牌处理方法及系统。

背景技术

OAuth 2.0是一个行业的标准授权协议。OAuth 2.0专注于简化客户端开发人员，同时为Web应用程序，桌面应用程序，手机和客厅设备提供特定的授权流程。它的最终目的是为请求方应用颁发一个有时效性的令牌(token)。使得请求方应用能够通过该令牌从提供方获取到相关的资源。

在首次获取到授权令牌之后，之后的每次请求资源接口时，都需要再次到后端的令牌管理服务中获取令牌。在高并发的情况下，后端会遇到处理瞬时大量请求，额外http请求开销、令牌所存储的数据库瓶颈和对同一令牌读写争抢资源等问题，这些问题都有可能造成处理请求耗时增大，从而导致请求阻塞，造成请求资源接口超时等后果。

发明内容

本发明旨在至少解决现有技术中存在的技术问题之一。为此，本发明提出一种授权令牌处理方法，通过增设API网关进行令牌存储及使用，完成令牌管理流程，减轻后端服务在高并发场景下的压力。

根据本发明第一方面实施例的授权令牌处理方法，包括：

网关接收资源获取请求；其中，所述资源获取请求包括请求方应用标识；

网关确定自身存储有与所述请求方应用标识对应的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

根据本发明实施例的授权令牌处理方法，通过增设API网关进行令牌存储及使用，完成令牌管理流程，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果。

根据本发明的一个实施例，所述方法还包括：

网关确定自身未存储有与所述请求方应用标识对应的授权令牌，将所述请求方应用标识发送给令牌管理端；

令牌管理端基于所述请求方应用标识在令牌数据库中查询，确定所述令牌数据库中存在与所述请求方应用标识对应的授权令牌，将所述授权令牌返回到网关；

网关接收所述令牌管理端返回的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

根据本发明的一个实施例，所述方法还包括：

令牌管理端确定令牌数据库中存储的授权令牌的使用时间到期，删除对应的授权令牌。

根据本发明的一个实施例，所述方法还包括：

令牌管理端确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌，且存在与所述请求方应用标识对应的刷新令牌时，根据所述刷新令牌重新获得授权令牌，将所述授权令牌返回到网关，并缓存在所述令牌数据库中。

根据本发明的一个实施例，所述方法还包括：

令牌管理端确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌和刷新令牌，向认证服务器请求获取授权令牌。

根据本发明的一个实施例，所述方法还包括：所述网关接收所述令牌管理端返回的授权令牌进行缓存。

根据本发明第二方面实施例的授权令牌处理系统，包括网关，其中：

网关，用于接收资源获取请求；其中，所述资源获取请求包括请求方应用标识；确定自身存储有与所述请求方应用标识对应的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

根据本发明的一个实施例，所述系统还包括令牌管理端，相应地，网关还用于：

确定自身未存储有与所述请求方应用标识对应的授权令牌，将所述请求方应用标识发送给令牌管理端；以及接收所述令牌管理端返回的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端；

令牌管理端，用于基于所述请求方应用标识在令牌数据库中查询，确定所述令牌数据库中存在与所述请求方应用标识对应的授权令牌，将所述授权令牌返回到网关。

根据本发明的一个实施例，令牌管理端还用于：确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌，且存在与所述请求方应用标识对应的刷新令牌时，根据所述刷新令牌重新获得授权令牌，将所述授权令牌返回到网关，并缓存在所述令牌数据库中。

根据本发明的一个实施例，所述网关还用于：接收所述令牌管理端返回的授权令牌进行缓存。

本发明实施例中的上述一个或多个技术方案，至少具有如下技术效果之一：

进一步的，通过网关存储及查询授权令牌，基于授权令牌向资源提供端发送资源获取请求，在网关未存储所需授权令牌时，通过在令牌数据库进行查询得到，实现多层级对令牌的缓存，减少每次请求到后端服务获取令牌的网络开支。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的授权令牌处理方法的流程示意图一；

图2是本发明实施例提供的授权令牌处理方法的流程示意图二；

图3是本发明实施例提供的授权令牌处理方法的流程示意图三；

图4是本发明实施例提供的授权令牌处理系统的结构示意图。

具体实施方式

下面结合附图和实施例对本发明的实施方式作进一步详细描述。以下实施例用于说明本发明，但不能用来限制本发明的范围。

本发明提供的一种授权令牌处理方法，该方法应用于OAuth 2.0协议的授权登录场景中。OAuth 2.0是一个行业的标准授权协议。OAuth 2.0专注于简化客户端开发人员，同时为Web应用程序，桌面应用程序，手机和智能设备提供特定的授权流程。它的最终目的是为请求方应用颁发一个有时效性的令牌(token)。使得请求方应用能够通过该令牌从提供方获取到相关的资源。

常见的场景如第三方登录。当你想要登录某个论坛，但没有账号，而这个论坛接入了如QQ、微博等登录功能，在使用QQ登录论坛的过程中使用OAuth2.0协议。

由此可知，OAuth 2.0是一种授权机制，主要用来颁发令牌(token)。OAuth引入了一个授权层，用来分离两种不同的角色：资源请求端(如客户端)和资源提供端。资源所有者同意以后，资源提供端可以向资源请求端颁发令牌。资源请求端通过令牌，去向资源提供端请求资源数据。

OAuth 2.0规定了四种获得令牌的流程，主要包括授权码模式、隐藏模式、密码模式、客户端凭证模式。

在本发明中，该方法主要是适用于获取到授权令牌之后基于授权令牌请求资源的过程进行管理处理，为此，在此不对上述提及到的令牌获取流程进行详细阐述。

在本发明中，基于授权令牌请求资源的过程中，在资源请求端和资源提供端之间增设有API网关，该网关用于对资源获取请求进行管理及转发。资源请求端可为客户端、云端、请求方所属服务端。资源提供端为提供方所属服务端。

参见图1，该方法包括以下步骤：

11、网关接收资源获取请求；其中，资源获取请求包括请求方应用标识；

12、网关确定自身存储有与请求方应用标识对应的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

针对步骤11和步骤12，需要说明的是，在本发明中，资源提供端可以向资源请求端颁发授权令牌后，还需资源请求端依据授权令牌向资源提供端请求资源。为此，资源请求端生成资源获取请求，该资源获取请包括请求方应用标识。该请求方应用标识为请求方的唯一标志。资源提供端可依据请求方应用标识准确的向资源请求端提供资源。

例如资源请求端为“荒野求生”平台，资源提供端为“微信平台”，此时，请求方应用标识为应用名称-“荒野求生”，或是应用地址URL。

在本发明中，网关先于资源提供端接收到资源获取请求，然后从资源获取请求中得到请求方应用标识。

在本发明中，网关具有缓存功能，在首次成功将资源获取请求发送给资源提供端，或是在资源请求端首次获取授权令牌时，会对应的存储授权令牌。相应地，也会存储授权令牌与请求方应用标识的对应关系，便于后续对授权令牌的查找。该对应关系是实时更新的，因为授权令牌具有使用时间，当授权令牌失效后，该失效的授权令牌具有的对应关系也会随之删除。

网关将从资源获取请求中得到的请求方应用标识与自身存储的应用标识进行比较，在确定有相同应用标识时，便可以根据授权令牌与请求方应用标识的对应关系获取对应的授权令牌，从而在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

资源提供端根据接收到的资源获取请求，得到请求方应用标识和授权令牌，经过对授权令牌的验证，在验证成功后，基于请求方应用标识将预先授权的权限将资源发送给资源请求端。

另外，需要说明的是，网关将从资源获取请求中得到的请求方应用标识与自身存储的应用标识进行比较，在确定不存在相同应用标识时，则表明网关中未存储与该请求方应用标识相对应的授权令牌，或者是存储的授权令牌以超过使用期限。

本发明提供的授权令牌处理方法，通过增设API网关进行令牌存储及使用，完成令牌管理流程，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果。

图2示出了本发明提供的一种授权令牌处理方法的流程示意图，参见图2，该方法包括：

21、网关接收资源获取请求；其中，资源获取请求包括请求方应用标识；

22、网关确定自身未存储有与请求方应用标识对应的授权令牌，将请求方应用标识发送给令牌管理端；

23、令牌管理端基于请求方应用标识在令牌数据库中查询，确定令牌数据库中存在与请求方应用标识对应的授权令牌，将授权令牌返回到网关；

24、网关接收令牌管理端返回的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

针对步骤21-步骤24，需要说明的是，在本发明中，资源提供端可以向资源请求端颁发授权令牌后，还需资源请求端依据授权令牌向资源提供端请求资源。为此，资源请求端生成资源获取请求，该资源获取请包括请求方应用标识。该请求方应用标识为请求方的唯一标志。资源提供端可依据请求方应用标识准确的向资源请求端提供资源。

在本发明中，网关先于资源提供端接收到资源获取请求，然后从资源获取请求中得到请求方应用标识。

在本发明中，网关具有缓存功能，在首次成功将资源获取请求发送给资源提供端，或是在资源请求端首次获取授权令牌时，会对应的存储授权令牌。相应地，也会存储授权令牌与请求方应用标识的对应关系，便于后续对授权令牌的查找。该对应关系是实时更新的，因为授权令牌具有使用时间，当授权令牌失效后，该失效的授权令牌具有的对应关系也会随之删除。

网关将从资源获取请求中得到的请求方应用标识与自身存储的应用标识进行比较，在确定不存在相同应用标识时，则表明网关中未存储与该请求方应用标识相对应的授权令牌，或者是存储的授权令牌以超过使用期限。

在本发明中，若授权令牌直接返回到资源请求端，可能会存在资源请求端被泄露的安全问题，故资源提供端向资源请求端派发的授权令牌可以不直接发到资源请求端，会存储在后端，该后端用于对授权令牌进行管理，因此，该后端可称为令牌管理端。其相当于对令牌进行存储、查询及使用的一个处理端，属于云端服务器的一种服务。

该令牌处理端通过令牌数据库存有授权令牌，相应地，也会存储授权令牌与请求方应用标识的对应关系，便于后续对授权令牌的查找。该对应关系也是实时更新的，因为授权令牌具有使用时间，当授权令牌失效后，该失效的授权令牌具有的对应关系也会随之删除。

该令牌处理端基于请求方应用标识在自身的令牌数据库中查询是否存在相同的应用标识，当存在相同的应用标识时，便可以根据授权令牌与请求方应用标识的对应关系获取对应的授权令牌，然后将获取到的授权令牌返回给网关。

网关接收到令牌管理端返回的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供。

资源提供端根据接收到的资源获取请求，得到请求方应用标识和授权令牌，经过对授权令牌的验证，在验证成功后，基于请求方应用标识将预先授权的权限将资源发送给资源请求端。

本发明提供的授权令牌处理方法，通过网关存储及查询授权令牌，基于授权令牌向资源提供端发送资源获取请求，在网关未存储所需授权令牌时，通过令牌管理端在令牌数据库进行查询得到，实现多层级对令牌的缓存，减少每次请求到后端服务获取令牌的网络开支，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果。

图3示出了本发明提供的一种授权令牌处理方法的流程示意图，参见图3，该方法包括：

31、网关接收资源获取请求；其中，资源获取请求包括请求方应用标识；

32、网关确定自身未存储有与请求方应用标识对应的授权令牌，将请求方应用标识发送给令牌管理端；

33、令牌管理端确定令牌数据库中未存在与请求方应用标识对应的授权令牌，且存在与请求方应用标识对应的刷新令牌时，根据刷新令牌重新获得授权令牌，将授权令牌返回到网关，并缓存在令牌数据库中；

34、网关接收令牌管理端返回的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

针对步骤31-步骤34，需要说明的是，在本发明中，资源提供端可以向资源请求端颁发授权令牌后，还需资源请求端依据授权令牌向资源提供端请求资源。为此，资源请求端生成资源获取请求，该资源获取请包括请求方应用标识。该请求方应用标识为请求方的唯一标志。资源提供端可依据请求方应用标识准确的向资源请求端提供资源。

在本发明中，网关先于资源提供端接收到资源获取请求，然后从资源获取请求中得到请求方应用标识。

在本发明中，网关具有缓存功能，在首次成功将资源获取请求发送给资源提供端，或是在资源请求端首次获取授权令牌时，会对应的存储授权令牌。相应地，也会存储授权令牌与请求方应用标识的对应关系，便于后续对授权令牌的查找。该对应关系是实时更新的，因为授权令牌具有使用时间，当授权令牌失效后，该失效的授权令牌具有的对应关系也会随之删除。

网关将从资源获取请求中得到的请求方应用标识与自身存储的应用标识进行比较，在确定不存在相同应用标识时，则表明网关中未存储与该请求方应用标识相对应的授权令牌，或者是存储的授权令牌以超过使用期限。

在本发明中，若授权令牌直接返回到资源请求端，可能会存在资源请求端被泄露的安全问题，故资源提供端向资源请求端派发的授权令牌可以不直接发到资源请求端，会存储在后端，该后端用于对授权令牌进行管理，因此，该后端可称为令牌管理端。其相当于对令牌进行存储、查询及使用的一个处理端，属于云端服务器的一种服务。

在本发明中，授权令牌具有一定的使用时间，为此，存在授权令牌在令牌数据库中也失效的情况。授权令牌失效后，要重新获取。为了避免重复大量流程，资源提供端给资源请求端下发授权令牌时，同时还下发对应的刷新令牌。在授权令牌失效后，基于刷新令牌可以重新请求获取授权令牌，节省流程。

该令牌处理端通过令牌数据库存有授权令牌和刷新令牌，相应地，也会存储授权令牌、刷新令牌与请求方应用标识的对应关系，便于后续对授权令牌的查找

该对应关系是实时更新的，因为授权令牌具有使用时间，当授权令牌失效后，由于刷新令牌的存在，该失效的授权令牌和刷新令牌共同具有的对应关系也会继续存在。

在本发明中，由于存在授权令牌失效的情况，故该令牌处理端基于请求方应用标识在自身的令牌数据库中查询是否存在相同的应用标识，当存在相同的应用标识时，但依旧无法在令牌数据库中获取到授权令牌。此时，可以查询获取到刷新令牌。

令牌管理端基于刷新令牌重新获得的授权令牌，将重新得到的授权令牌返回给网关。进一步地，当网关接收到返回的授权令牌，可以进行缓存，便于后续再次登录请求资源，可在网关中进行令牌的查询获取。

网关接收到令牌管理端返回的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

资源提供端根据接收到的资源获取请求，得到请求方应用标识和授权令牌，经过对授权令牌的验证，在验证成功后，基于请求方应用标识将预先授权的权限将资源发送给资源请求端。

另外，还需要进一步说明的是，由于网关不仅仅要应对具有授权令牌的资源获取请求，也会转发不具有授权令牌的资源获取请求。为此，可在网关上配置一个执行脚本(如lua插件)，当配置的资源获取请求具有授权令牌时，此时，网关会启动执行脚本，则会按照脚本中配置的执行流程—网关判断是否缓存授权令牌，令牌管理端判断是否缓存授权令牌等。

还需要更进一步说明的是，由于删除授权令牌后，该授权令牌不存在对应的刷新令牌，此时令牌管理端未查找到授权令牌，也未查找到刷新令牌，令牌管理端会向认证服务器请求获取授权令牌，获取授权令牌之后，在存储授权令牌，同时将授权令牌发送给网关。

另外，令牌管理端还可向网关发送查找失败通知，所述查找失败通知表征令牌管理端未查找到授权令牌，且未查找到刷新令牌。网关需基于所述查找失败通知向资源请求端发出告知信息，以告知资源请求端按照正常申请授权令牌的方式获取得到合法的授权令牌。

本发明提供的授权令牌处理方法，通过网关存储及查询授权令牌，基于授权令牌向资源提供端发送资源获取请求，在网关未存储所需授权令牌时，通过在令牌管理端令牌数据库进行查询得到，实现多层级对令牌的缓存，减少每次请求到后端服务获取令牌的网络开支。

下面对本发明提供的授权令牌处理系统进行描述，下文描述的授权令牌处理系统与上文描述的授权令牌处理方法可相互对应参照。

图4示出了本发明提供的一种授权令牌处理系统的结构示意图，参见图4，该系统包括网关41，其中：

网关41，用于接收资源获取请求；其中，资源获取请求包括请求方应用标识；确定自身存储有与请求方应用标识对应的授权令牌，在资源获取请求中添加授权令牌，将添加后的资源获取请求发送给资源提供端。

在本发明的进一步解释说明中，所述系统还包括令牌管理端42，相应地，网关还用于：

确定自身未存储有与请求方应用标识对应的授权令牌，将请求方应用标识发送给令牌管理端；以及接收令牌管理端返回的授权令牌，在资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给资源提供端；

令牌管理端，用于基于请求方应用标识在令牌数据库中查询，确定令牌数据库中存在与请求方应用标识对应的授权令牌，将授权令牌返回到网关。

在本发明的进一步解释说明中，令牌管理端还用于：确定令牌数据库中未存在与请求方应用标识对应的授权令牌，且存在与请求方应用标识对应的刷新令牌时，根据刷新令牌重新获得授权令牌，将授权令牌返回到网关，并缓存在令牌数据库中。

在本发明的进一步解释说明中，网关还用于：接收所述令牌管理端返回的授权令牌进行缓存。

由于本发明实施例所述系统与上述实施例所述方法的原理相同，对于更加详细的解释内容在此不再赘述。

需要说明的是，本发明实施例中可以通过硬件处理器(hardware processor)来实现相关功能模块。

本发明提供的授权令牌处理系统，通过增设API网关进行令牌存储及使用，完成令牌管理流程，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果，在网关未存储所需授权令牌时，通过令牌管理端在令牌数据库进行查询得到，实现多层级对令牌的缓存，减少每次请求到后端服务获取令牌的网络开支，减轻后端服务在高并发场景下的压力，从而达到降低请求资源接口耗时及提高请求性能的效果。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种授权令牌处理方法，其特征在于，包括：

网关接收资源获取请求；其中，所述资源获取请求包括请求方应用标识；

网关确定自身存储有与所述请求方应用标识对应的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

2.根据权利要求1所述的授权令牌处理方法，其特征在于，所述方法还包括：

网关确定自身未存储有与所述请求方应用标识对应的授权令牌，将所述请求方应用标识发送给令牌管理端；

令牌管理端基于所述请求方应用标识在令牌数据库中查询，确定所述令牌数据库中存在与所述请求方应用标识对应的授权令牌，将所述授权令牌返回到网关；

网关接收所述令牌管理端返回的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

3.根据权利要求2所述的授权令牌处理方法，其特征在于，所述方法还包括：

令牌管理端确定令牌数据库中存储的授权令牌的使用时间到期，删除对应的授权令牌。

4.根据权利要求3所述的授权令牌处理方法，其特征在于，所述方法还包括：

令牌管理端确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌，且存在与所述请求方应用标识对应的刷新令牌时，根据所述刷新令牌重新获得授权令牌，将所述授权令牌返回到网关，并缓存在所述令牌数据库中。

5.根据权利要求4所述的授权令牌处理方法，其特征在于，所述方法还包括：

令牌管理端确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌和刷新令牌，向认证服务器请求获取授权令牌。

6.根据权利要求1所述的授权令牌处理方法，其特征在于，所述方法还包括：所述网关接收所述令牌管理端返回的授权令牌进行缓存。

7.一种授权令牌处理系统，其特征在于，包括网关，其中：

网关，用于接收资源获取请求；其中，所述资源获取请求包括请求方应用标识；确定自身存储有与所述请求方应用标识对应的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端。

8.根据权利要求7所述的授权令牌处理系统，其特征在于，所述系统还包括令牌管理端，相应地，网关还用于：

确定自身未存储有与所述请求方应用标识对应的授权令牌，将所述请求方应用标识发送给令牌管理端；以及接收所述令牌管理端返回的授权令牌，在所述资源获取请求中添加所述授权令牌，将添加后的资源获取请求发送给所述资源提供端；

令牌管理端，用于基于所述请求方应用标识在令牌数据库中查询，确定所述令牌数据库中存在与所述请求方应用标识对应的授权令牌，将所述授权令牌返回到网关。

9.根据权利要求8所述的授权令牌处理系统，其特征在于，令牌管理端还用于：确定所述令牌数据库中未存在与所述请求方应用标识对应的授权令牌，且存在与所述请求方应用标识对应的刷新令牌时，根据所述刷新令牌重新获得授权令牌，将所述授权令牌返回到网关，并缓存在所述令牌数据库中。

10.根据权利要求9所述的授权令牌处理系统，其特征在于，所述网关还用于：接收所述令牌管理端返回的授权令牌进行缓存。

Images